Vergi beyannamesi web siteleri, kullanıcıların mali bilgilerini Facebook

The Markup'ın öğrendiğine göre, H&R Block, TaxAct ve TaxSlayer gibi büyük vergi dosyalama hizmetleri, Amerikalılar vergilerini çevrimiçi olarak beyan ettiklerinde hassas finansal bilgileri sessizce Facebook'a iletiyor.

Yaygın olarak kullanılan Meta Piksel adı verilen kod aracılığıyla gönderilen veriler , yalnızca adlar ve e-posta adresleri gibi bilgileri değil, aynı zamanda kullanıcıların geliri, başvuru durumu, geri ödeme tutarları ve bakmakla yükümlü olunanların üniversite burs miktarları gibi daha ayrıntılı bilgileri de içerir.

Facebook'a gönderilen bilgiler, şirket tarafından reklam algoritmalarını güçlendirmek için kullanılabilir ve vergi beyannamesi hizmetini kullanan kişinin Facebook'ta veya sahibi Meta tarafından işletilen diğer platformlarda bir hesabı olup olmadığına bakılmaksızın toplanır.

The Markup'ın bulduğuna göre, Internal Revenue Service her yıl elektronik olarak dosyalanan yaklaşık 150 milyon bireysel beyanı işliyor ve en yaygın kullanılan e-dosyalama hizmetlerinden bazılarında piksel kullanılıyor.

Örneğin, kullanıcılar popüler TaxAct hizmetine vergilerini beyan etmek için kaydolduklarında, getirilerini hesaplamak için ne kadar para kazandıkları ve yatırımları dahil olmak üzere kişisel bilgilerini vermeleri istenir. TaxAct'ın web sitesindeki bir piksel, The Markup tarafından yapılan bir incelemeye göre, kullanıcıların dosyalama durumları, düzeltilmiş brüt gelirleri ve geri ödeme miktarları dahil olmak üzere bu verilerin bir kısmını Facebook'a gönderdi. Gelir en yakın bine, iadeler en yakın yüzlüğe yuvarlandı. Piksel aynı zamanda bakmakla yükümlü olunan kişilerin adlarını karışık – ancak genellikle tersine çevrilebilir – bir biçimde gönderdi.

Yaklaşık 3 milyon "tüketici ve profesyonel kullanıcıya" sahip olduğunu söyleyen TaxAct, web sitesinde Google'ın analiz aracını da kullanıyor ve The Markup , aracı aracılığıyla Google'a gönderilen adlar değil, benzer finansal veriler buldu.

TaxAct, Meta Pixel kullanan tek vergi dosyalama hizmeti değildi. Yılda milyonlarca müşteriyi çeken bir çevrimiçi başvuru seçeneği de sunan vergi hazırlama devi H&R Block, sitesine, dosyalayıcıların sağlık tasarruf hesabı kullanımı ve bakmakla yükümlü oldukları kişilerin üniversite öğrenim bursları ve harcamaları hakkında bilgi toplayan bir piksel yerleştirdi.

Yaygın olarak kullanılan başka bir dosyalama hizmeti olan TaxSlayer, sosyal medya şirketinin web ziyaretçileri hakkında bilgi toplayarak onları Facebook hesaplarına bağlama girişiminde bulunan “gelişmiş eşleştirme” sisteminin bir parçası olarak kişisel bilgileri Facebook'a gönderdi. TaxSlayer'ın sitesindeki piksel aracılığıyla toplanan bilgiler arasında telefon numaraları, formu dolduran kullanıcının adı ve iadeye eklenen bakmakla yükümlü olunan kişilerin adları yer alıyordu. TaxAct'te olduğu gibi, bir kullanıcı hakkındaki belirli demografik bilgiler gizlenmişti, ancak yine de Facebook'un bir kullanıcıyı mevcut bir profile bağlaması için kullanılabilirdi. TaxSlayer , geçen yıl 10 milyon federal ve eyalet vergi beyannamesini tamamladığını söyledi.

İşaretleme ayrıca, TaxSlayer'ın hizmetinin bir sürümünü kullanan Ramsey Solutions adlı bir finansal danışmanlık ve yazılım şirketi tarafından işletilen bir vergi hazırlama sitesinde de piksel kodunu buldu. Bu piksel, bir vergi beyannamesi özet sayfasından, gelir ve geri ödeme tutarları hakkında bilgiler de dahil olmak üzere daha da fazla kişisel veri topladı. Bu bilgiler, sayfayı ziyaret ettikten hemen sonra gönderilmedi, yalnızca ziyaretçiler raporlarının daha fazla ayrıntısını görmek için açılır başlıkları tıkladığında gönderildi.

Amerika'nın baskın çevrimiçi dosyalama yazılımını işleten şirket olan Intuit bile pikseli kullandı. Ancak Intuit'in TurboTax'ı Meta'ya mali bilgileri değil, kullanıcı adlarını ve bir cihazın en son ne zaman oturum açtığını gönderdi. Şirket, pikseli oturum açmanın ötesinde tamamen sayfaların dışında tuttu.

TaxAct sözcüsü Nicole Coburn bir e-postada "Müşterilerimizin verilerinin gizliliğini çok ciddiye alıyoruz" dedi. "TaxAct, her zaman tüm IRS düzenlemelerine uymaya çalışır." H&R Block sözcüsü Angela Davied, şirketin "gizliliğe devam eden taahhüdümüzün bir parçası olarak uygulamalarımızı düzenli olarak değerlendirdiğini ve bilgileri gözden geçireceğini" söyledi.

Ramsey Solutions sözcüsü Megan McConnell, bir e-postada şirketin "daha kişiselleştirilmiş bir müşteri deneyimi sunmak için Meta Pixel'i uyguladığını" söyledi.

Açıklamada, "Facebook tarafından Pixel'den kişisel vergi bilgilerinin toplandığını bilmiyorduk ve hiçbir zaman bilgilendirilmedik" denildi. "Öğrenir öğrenmez, TaxSlayer'a Pixel'i Ramsey SmartTax'tan devre dışı bırakması için hemen bilgi verdik."

İşaretleme , TaxSlayer ile iletişime geçtikten sonra, sözcü Molly Richardson bir e-postada şirketin kullanımını değerlendirmek için pikseli kaldırdığını söyledi. "Müşterilerimizin gizliliği son derece önemlidir ve müşterilerimizin bilgileriyle ilgili endişeleri çok ciddiye alıyoruz" dedi ve Ramsey Solutions'ın da "pikseli kaldırmaya karar verdiğini" sözlerine ekledi.

Intuit sözcüsü Rick Heineman, şirketin pikselinin "kullanıcıların vergilerini beyan ederken TurboTax'a girdiği bilgileri izlemediğini, toplamadığını veya paylaşmadığını" söyledi, ancak Intuit "kullanıcı adı gibi bazı vergi iadesi olmayan bilgileri paylaşabilir, daha iyi bir müşteri deneyimi sunmak için pazarlama ortaklarıyla”, Facebook'ta zaten hesabı olan kişilere Intuit reklamları göstermemek gibi. Şirket, düzenlemelere uygun olduğunu ancak pikseli artık kullanıcı adlarını göndermeyecek şekilde değiştirdiğini söyledi.

Harvard Hukuk Fakültesi'nde vergi yasasına odaklanan bir öğretim görevlisi olan Mandi Matlock, The Markup'ın bulgularının vergi mükelleflerinin "sahip oldukları en hassas bilgilerden bazılarını sağladıklarını ve bu bilgilerin istismar edildiğini" gösterdiğini söyledi.

"Bu korkunç," dedi. "Gerçekten öyle."

Pazartesi günü, The Markup , yorum için TaxAct ile iletişime geçtikten sonra, şirketin sitesi artık gelir ve geri ödeme tutarı gibi finansal ayrıntıları Meta'ya göndermedi, bakmakla yükümlü olunan kişilerin adlarını göndermeye devam etti. Site ayrıca mali bilgileri Google Analytics'e göndermeye devam etti. Yine Pazartesi günü itibariyle, TaxSlayer ve Ramsey Solutions pikseli vergi beyan sitelerinden kaldırmış ve TurboTax oturum açma sırasında piksel aracılığıyla kullanıcı adları göndermeyi bırakmıştı. H&R Block'un sitesi, sağlık tasarruf hesapları ve üniversite harç ödenekleri hakkında bilgi göndermeye devam ediyordu.

Meta, piksel kodunu isteyen herkese ücretsiz olarak sunar ve işletmelerin kodu sitelerine istedikleri gibi yerleştirmelerine olanak tanır.

Kodu kullanmak hem Facebook'a hem de işletmelere yardımcı olur. Bir müşteri bir işletmenin web sitesine geldiğinde piksel, müşterinin örneğin bir tişört gibi hangi öğelere göz attığını kaydedebilir. İşletme daha sonra Facebook'taki reklamlarını o gömleğe bakan kişilere hedefleyerek işletmenin ürünleriyle zaten ilgilenebilecek bir hedef kitle bulmasını sağlayabilir.

Meta finansal olarak da kazanır. Şirket , algoritmalarını güçlendirmek için piksel gibi araçlardan topladığı verileri kullanabileceğini ve internetteki kullanıcıların alışkanlıklarına ilişkin içgörü sağlayabileceğini söylüyor.

Strateji Facebook için başarılı oldu. 2018'de şirket, Kongre'ye web'de 2 milyondan fazla piksel olduğunu söyledi – bu, çoğu internet kullanıcısının asla görmediği devasa bir veri toplama operasyonu.

The Markup'ın bulguları karşısında "şokta kaldığını ama şaşırmadığını" söyleyen Electronic Frontier Foundation'da kamu yararına teknoloji direktörü Jon Callas, "Uygulama her yerde mevcut," dedi.

The Markup tarafından analiz edilen hassas veri toplamanın bir kısmı Meta Pixel'in varsayılan davranışlarıyla bağlantılı görünürken, bir kısmı vergi beyannamesi servisleri, onların adına hareket eden biri veya sitede yüklü diğer yazılımlar tarafından yapılan özelleştirmelerden kaynaklanıyor gibi görünmektedir.

Örneğin, Meta Pixel, H&R Block'un sitesinden sağlık tasarruf hesabı ve üniversite gideri bilgilerini topladı çünkü bilgiler web sayfası başlıklarında göründü ve Meta Pixel'in standart yapılandırması, kullanıcının görüntülemekte olduğu sayfanın başlığını ve web adresini otomatik olarak toplar. sayfa ve diğer veriler. Bilgiler tıklandığında genişleyen bir özette göründüğü için Ramsey Solutions'tan gelir bilgileri toplayabildi. Özet, piksel tarafından bir düğme olarak algılandı ve varsayılan yapılandırmasında piksel, tıklanan bir düğmenin içinden metin toplar.

TaxSlayer ve TaxAct tarafından katıştırılan pikseller, " otomatik gelişmiş eşleştirme " adı verilen bir özellik kullanıyordu. Bu özellik, telefon numarası, ad, soyadı veya e-posta adresi gibi kişisel olarak tanımlanabilir bilgiler içerdiğini düşündüğü alanları arayarak formları tarar ve ardından tespit edilen bilgileri Meta'ya gönderir. TaxSlayer'ın sitesinde bu özellik, dosyalayıcıların ve bakmakla yükümlü oldukları kişilerin telefon numaralarını ve adlarını topladı. TaxAct'te bakmakla yükümlü olunanların adlarını topladı.

Eşleştirme özelliği tarafından toplanan veriler, " kullanıcı gizliliğinin korunmasına yardımcı olmak " için Meta durumlarının kullanıldığı karma olarak bilinen karmaşık bir biçimde gönderilir. Ancak şirket genellikle verilerin önceden karartılmış sürümünü belirleyebilir. Aslında Meta, diğer piksel verilerini Facebook ve Instagram profillerine bağlamak için hashlenmiş bilgileri açıkça kullanır .

Bu piksel özelliği, İşaretleme bir işletme hesabına eklenmiş bir test pikseli kurduğunda varsayılan olarak kapatılmıştır, ancak kurulum sırasında bir açma/kapatma düğmesi tıklanarak açılabilir.

TaxAct düzeltilmiş brüt gelir gibi dolar miktarlarını Meta'ya gönderdiğinde, bunlar yalnızca piksel bir web sitesi operatörü veya web sitesi operatörünün sitelerine eklediği başka bir uygulama tarafından varsayılanın ötesinde yapılandırılırsa gönderilen bir " özel olaya " parametre olarak iletildi. . TaxAct, pikseli bu şekilde yapılandırıp yapılandırmadığına ve neden yapılandırdığına ilişkin sorulara yanıt vermedi.

Meta'nın piksel aracılığıyla toplayacağını söylediği veri türlerinin sınırları vardır. Şirket, finansal veriler de dahil olmak üzere hassas bilgilerin kendisine gönderilmesini istemediğini ve potansiyel olarak hassas verileri engellemek için otomatik filtreleme kullandığını söylüyor. Yardım merkezi , banka hesabı veya kredi kartı numaraları veya "bireyin mali hesabı veya durumu hakkında bilgi" dahil olmak üzere bilgilerin gönderilmesini yasakladığını belirtir.

The Markup'ın bulduğuna göre yine de belirli bir yasaklanmış veri türü olan gelir, iki vergi sitesinin Facebook'a gönderdiği şeydi. TaxAct tarafından Facebook'a gönderilen veriler, Facebook'un daha önce "student_loan_ Interest" etiketli bir parametre gönderdiğini ve bunun şimdi gönderilmeden önce piksel tarafından filtrelenmekte olduğunu gösteriyor.

The Markup , bu yılın Ocak ayından Temmuz ayına kadar Mozilla Rally ile bir ortaklık olan Pixel Hunt'ın bir parçası olarak web sitelerinin piksel kullanımını takip etti. Projeye katılan kullanıcılar, The Markup'a piksel aracılığıyla Meta ile paylaşılan tüm verilerin bir kopyasını sağlayan bir tarayıcı uzantısı yükledi.

İşaretleme başlangıçta hassas bilgilerin, Pixel Hunt katılımcıları tarafından paylaşılan veriler aracılığıyla vergi hazırlayıcıları tarafından paylaşıldığını keşfetti. İşaretleme daha sonra şirketlerin web uygulamalarındaki hesaplar için kaydoldu ve verileri çoğaltmak ve doğrulamak için Google'ın Chrome tarayıcısında yerleşik bir araç olan Chrome DevTools'un "Ağ" bölümünü kullandı.

Bu yılın başlarında, Pixel Hunt katılımcılarının yardımıyla The Markup , Eğitim Bakanlığı'nın federal öğrenci yardım uygulaması web sitesinde , kriz gebelik web sitelerinde ve önde gelen hastanelerin web sitelerinde Facebook'a gönderilen hassas veriler buldu.

Meta o kadar çok veri topluyor ki bazen şirketin kendisi bile bunun nereye vardığının farkında olmayabilir. Bu yılın başlarında Vice , Facebook gizlilik mühendisleri tarafından yazılan ve şirketin "sistemlerimizin verileri nasıl kullandığı konusunda yeterli düzeyde kontrole ve açıklanabilirliğe sahip olmadığını" söyleyen sızdırılmış bir Facebook belgesini bildirdi ve bu da belirli verileri kullanmayacağına söz vermeyi zorlaştırdı. veriler belirli amaçlar için

O sırada bir şirket sözcüsü, Vice'a Facebook'un "verileri yönetmek ve gizlilik düzenlemelerine uymak için kapsamlı süreçlere ve kontrollere" sahip olduğunu söyledi.

Meta sözcüsü Dale Hogan, The Markup'ın vergi web sitelerinin piksel kullanımıyla ilgili sorularına yanıt olarak şirketin hassas finansal bilgilerle ilgili kurallarına işaret etti.

Hogan, e-postayla gönderilen bir bildiride, "Reklamverenler, İş Araçlarımız aracılığıyla insanlar hakkında hassas bilgiler göndermemelidir" diye yazdı. "Bunu yapmak politikalarımıza aykırıdır ve bunun olmasını önlemek için reklamverenleri İş araçlarını doğru şekilde kurma konusunda eğitiyoruz. Sistemimiz, tespit edebildiği potansiyel olarak hassas verileri filtrelemek için tasarlanmıştır.”

Google sözcüsü Jackie Berté bir e-postada, şirketin "hassas bilgilere dayalı olarak kişilere yönelik reklamlara karşı katı politikaları olduğunu" ve Google Analytics verilerinin "gizli olduğunu, yani bir bireye bağlı olmadığını ve politikalarımızın müşterilerin bize e-posta göndermesini yasakladığını" söyledi. bir kullanıcıyı tanımlamak için kullanılabilecek veriler.”

Kâr amacı gütmeyen Vergi Mükellefi Hakları Merkezi'nin yönetici direktörü Nina Olson, 2001 ile 2019 yılları arasında İç Gelir Servisi'nde ulusal vergi mükellefi savunucusuydu; bu, kurumda vergi mükelleflerinin çıkarlarını temsil etmeyi amaçlayan bir pozisyondu.

IRS'deki görevinin bir parçası olarak, vergi bilgilerinin açıklanmasını yöneten düzenlemelerin geliştirilmesine katkıda bulunmuştur. Olson, özel vergi dosyalama hizmetlerinin verileri kullanma şeklini kontrol eden IRS düzenlemelerinin kasıtlı olarak "çok güçlü" olduğunu söyledi.

Geliştirilmesine yardım ettiği düzenlemeler uyarınca, vergi mükellefleri – e-bildirim şirketleri dahil – vergi mükelleflerinden aldıkları bilgileri yalnızca sınırlı amaçlar için kullanabilirler; dosyalamayı hemen kolaylaştırmanın ötesinde herhangi bir şey için, hazırlayıcının kullanıcıdan alıcıyı ve ifşa edilen kesin bilgileri açıklayan imzalı onay alması gerekir.

Hükümet, "web sitesi veya yazılım paketi tarafından kullanılan normal veya standart gövde metniyle aynı boyutta veya ondan daha büyük" olması gerektiğini söyleyerek açıklama taleplerinin yazı tipi boyutunu bile belirleyecek kadar ileri gidiyor.

Verileri izinsiz ifşa etmenin cezaları potansiyel olarak çok ağır: para cezaları ve hatta hapis cezası bile mümkündür, ancak Olson takip edilen herhangi bir ceza davasından haberdar olmadığını söyledi.

İşaretleme , özellikle Meta veya Facebook'tan bahseden ancak bunları bulamayan açıklamalar için vergi hazırlama web sitelerini inceledi. Bunun yerine, bazı şirketler nispeten geniş ifşa anlaşmaları dahil etti.

Örneğin TaxAct, kullanıcılardan vergi bilgilerini kardeş şirketi TaxSmart Research LLC'ye göndermeyi onaylamasını istedi, böylece şirket kullanıcılar için "ürün ve hizmetler geliştirebilir, sunabilir ve sağlayabilir". Ayrıca, "TaxSmart Research LLC, bu görevleri yerine getirmek için hizmet sağlayıcıları ve iş ortaklarını kullanabilir." Bu arada H&R Block, "H&R Block Personalized Services, LLC"nin kendi ürünlerini sunabilmesi için neredeyse aynı ifşa talebini dahil etti. The Markup'ın testlerine göre, bu siteler kullanıcıya vergi bilgilerini paylaşmayı reddetme seçeneği sunsa da veriler, kullanıcıların hangi seçeneği tercih ettiğinden bağımsız olarak Facebook ile paylaşıldı.

Olson, bir vergi hazırlayıcısından gelen herhangi bir açıklamanın, tam olarak amacı ve alıcının uyumlu olması gerektiğini belirtmesi gerektiğini söyledi. "Geri ödeme tutarlarını, çocuklarınızı ve sizin her neyse Facebook'a ifşa edeceklerini söyleyen bir listeleri var mı?" dedi. Aksi takdirde, yönetmeliklere aykırı olabilirler.

IRS, vergi bilgilerini paylaşan sitelerden herhangi birinin vergi yasasını ihlal edip etmediği hakkında yorum yapmayı veya soruları yanıtlamayı reddetti.

Amerikan vergi mükelleflerinin, beyannamelerini vermek için özel şirketlere başvurmaktan başka seçenekleri var.

Diğer ülkelerden farklı olarak Amerika Birleşik Devletleri, vergi beyannamesi için büyük ölçüde özelleştirilmiş bir sisteme sahiptir ve bu sistem, genellikle üçüncü taraf vergi hazırlayıcılarının kullanılmasını gerektirir. Diğer ülkelerde, hükümet hesaplamaları yapar ve vergi mükellefleri sadece rakamları onaylar . Ancak özel şirketlerden gelen başarılı bir lobi faaliyetinden sonra, ABD'deki vergi hazırlayıcıları, vergi mükellefleri ile hükümet arasında etkili bir şekilde aracı görevi görüyor.

Vergi hazırlığı artık büyük bir iş alanı:Pazar araştırmacıları bunun Amerika Birleşik Devletleri'nde 11 milyar dolardan fazla bir sektör olduğunu tahmin ediyor.

Ücretsiz bir hazırlık ve dosyalama seçeneği mevcuttur, ancak bu, 73.000 $ veya daha az kazanan kişilerle sınırlıdır ve kullanımı zor olabilir. Şirketler vergi yazılımlarını IRS ile bir anlaşma yoluyla ücretsiz olarak sunarlar, ancak bu seçeneği kolayca kullanılabilir hale getirmedikleri için eleştirilirler .

The Markup , pikseli kullanarak, IRS'nin bazı şirketlere ücretsiz olarak başvurmaya çalışan vergi mükelleflerini etkili bir şekilde yönlendirdiğini bile buldu. TaxAct ve TaxSlayer dahil olmak üzere bir avuç vergi hazırlama hizmeti , Free File Alliance olarak bilinen anlaşmanın bir parçasıdır. TurboTax ve H&R Block geçmişte programın bir parçasıydı.

Harvard'dan Matlock, The Markup'ın bulgularının, bir hükümet gerekliliğini yerine getirmek için kar amacı gütmeyen şirketlere güvenmenin neredeyse kaçınılmaz sonuçlarını gösterdiğini söyledi. Bu, kullanıcılara yasalara uymak istiyorlarsa verilerini Facebook'a teslim etmekten başka seçenek bırakmayan bir süreç, dedi.

"Bu sinir bozucu çünkü vergi mükellefleri sırf vergi beyannamesi yükümlülüklerini yerine getirmek için bu özel, kâr amacı gütmeyen şirketlerin kollarına itildi" dedi. "Aslında bu konuda başka seçeneğimiz yok."